CVE-2026-53593 in FreeScout
Resumen
por VulDB • 2026-07-21
FreeScout es un sistema de help desk y buzón compartido gratuito desarrollado con el framework Laravel de PHP. Antes de la versión 1.8.224, la lista negra que neutraliza las cargas de archivos peligrosos (`Helper::$restricted_extensions`) está incompleta: no incluye la extensión `.pht`. El punto final de carga autenticado `POST /uploads/upload` (`SecureController@upload`) almacena los archivos con su extensión original en el directorio accesible mediante web `storage/app/public/uploads/` (servido como `/storage/uploads/`). En una implementación estándar de Apache + `libapache2-mod-php`, el controlador por defecto `<FilesMatch ".+\.ph(ar|p[3457]?|t|tml)$">` ejecuta `.pht`; por lo tanto, **cualquier agente autenticado puede cargar un web shell en formato `.pht` y ejecutar comandos arbitrarios como el usuario del servidor web** (`www-data`). Esto constituye una vulneración directa de la corrección para CVE-2025-48471, que añadió `phtml`/`phar` pero no `pht` (ni `phtm`, `phps`). La versión 1.8.224 contiene una corrección actualizada.
If you want to get best quality of vulnerability data, you may have to visit VulDB.